{"id":313084,"date":"2025-06-30T13:36:28","date_gmt":"2025-06-30T11:36:28","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=313084"},"modified":"2025-06-30T13:36:28","modified_gmt":"2025-06-30T11:36:28","slug":"citrix-bleed-teil-2-wird-schwachstelle-cve-2025-5777-bereits-ausgenutzt","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/06\/30\/citrix-bleed-teil-2-wird-schwachstelle-cve-2025-5777-bereits-ausgenutzt\/","title":{"rendered":"Citrix Bleed Teil 2: Wird Schwachstelle CVE-2025\u20135777 bereits ausgenutzt?"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Sicherheit (Pexels, allgemeine Nutzung)\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" alt=\"Sicherheit (Pexels, allgemeine Nutzung)\" width=\"200\" align=\"left\" \/>[English]Die Tage hatte ich \u00fcber gravierende Schwachstellen in Citrix NetScaler ADC und das NetScaler Gateway berichtet, die zeitnah gepatcht werden sollten. Zum 23. Juni 2025 wurde die Beschreibung der Sicherheitsl\u00fccke CVE-2025\u20135777 (CVSS 9.3) ge\u00e4ndert, diese ist noch kritischer als gedacht. Citrix Bleed 2 ist quasi zur\u00fcck und nun gibt es die Warnung, dass Angriffsversuche auf Citrix-Instanzen beobachtet werden.<\/p>\n<p><!--more--><\/p>\n<h2>Citrix Bleed 2 durch CVE-2025-5777?<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg05.met.vgwort.de\/na\/1b0cf5650bae4b5481ef7166bc80dad3\" alt=\"\" width=\"1\" height=\"1\" \/>Zum 18. Juni 2025 hatte ich im Blog-Beitrag\u00a0<a href=\"https:\/\/borncity.com\/blog\/2025\/06\/18\/citrix-netscaler-adc-kritische-sicherheitsluecken-dringend-fixen\/\">Citrix Netscaler ADC: Kritische Sicherheitsl\u00fccken dringend fixen<\/a> \u00fcber mehrere Schwachstellen in Citrix NetScaler ADC und NetScaler Gateway berichtet und dringend zum Patchen geraten. Die\u00a0Schwachstelle\u00a0<a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-5777\" target=\"_blank\" rel=\"noopener\">CVE-2025-5777<\/a> (CVSS 9.3) in NetScaler ADC und im NetScaler Gateway erm\u00f6glicht das Lesen au\u00dferhalb des zul\u00e4ssigen Speichers (Memory Overread) durch eine unzureichende Eingabevalidierung (Insufficient Input Validation). Initial wurde das Problem nur auf die\u00a0NetScaler Management-Schnittstelle bezogen.<\/p>\n<blockquote><p>Betroffen sind NetScaler-Systeme, die als Gateway konfiguriert sind (z.B. VPN vServer, ICA Proxy, Citrix Virtual Private Network, RDP Proxy oder AAA vServer). Ein erfolgreicher Angriff kann zum Auslesen sensibler Daten f\u00fchren.<\/p><\/blockquote>\n<p>Zum 23. Juni 2025 gab es eine Aktualisierung der Beschreibung zu <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-5777\" target=\"_blank\" rel=\"noopener\">CVE-2025-5777<\/a>, in der der Hinweis, dass nur die NetScaler Management-Schnittstelle betroffen sei, gestrichen wurde.\u00a0Citrix Security hat das Bulletin Alert <a href=\"https:\/\/support.citrix.com\/support-home\/kbsearch\/article?articleNumber=CTX694788\" target=\"_blank\" rel=\"noopener\">CTX694788<\/a> zur Schwachstelle CVE-2025-6543 (CVSS Index 9.2) ver\u00f6ffentlicht. Die folgenden Versionen von NetScaler ADC und NetScaler Gateway sind von der Schwachstelle betroffen:<\/p>\n<ul>\n<li>NetScaler ADC and NetScaler Gateway 14.1 BEFORE 14.1-47.46<\/li>\n<li>NetScaler ADC and NetScaler Gateway 13.1 BEFORE 13.1-59.19<\/li>\n<li>NetScaler ADC 13.1-FIPS and NDcPP\u00a0 BEFORE 13.1-37.236-FIPS and NDcPP<\/li>\n<\/ul>\n<p>NetScaler ADC 12.1-FIPS ist nicht betroffen, hei\u00dft es. Im Beitrag\u00a0<a href=\"https:\/\/borncity.com\/blog\/2025\/06\/25\/citrix-bleed-teil-2-schwachstelle-cve-2025-5777-weitet-sich-aus\/\">Citrix Bleed Teil 2: Schwachstelle CVE-2025\u20135777 weitet sich aus<\/a> hatte ich Sicherheitsforscher Kevin\u00a0Beaumont zitiert, der schreibt, dass die Schwachstelle es einem Angreifer erm\u00f6glicht, den Speicher des Netscalers auszulesen, wenn dieser als Gateway oder virtueller AAA-Server konfiguriert ist. Er erw\u00e4hnt den Fernzugriff \u00fcber Citrix, RDP usw. Diese Konfiguration ist in gro\u00dfen Unternehmen sehr verbreitet.<\/p>\n<p>In seinem Blog-Beitrag <a href=\"https:\/\/doublepulsar.com\/citrixbleed-2-electric-boogaloo-cve-2025-5777-c7f5e349d206\" target=\"_blank\" rel=\"noopener\">CitrixBleed 2: Electric Boogaloo \u2014 CVE-2025\u20135777<\/a> skizziert er Details und zeigt eine Suchanfrage an Shodan.io, die f\u00fcr Deutschland \u00fcber 6.800 Treffer zeigt. Beaumont gibt den Ratschlag, die dem Internet ausgesetzten Citrix Netscaler-Instanzen zu identifizieren, schnellstm\u00f6glich zu patchen, und die Sessions zu beenden. Denn sp\u00e4testens, wenn ein Exploit f\u00fcr CVE-2025-5777 verf\u00fcgbar ist und von Cyberangreifern ausgenutzt wird, ist Citrix Bleed 2 zur\u00fcck.<\/p>\n<h2>Angriffe auf Citrix Netscaler beobachtet<\/h2>\n<p>Noch scheint kein \u00f6ffentlicher Exploit f\u00fcr CVE-2025-5777 und weitere Schwachstellen bekannt. Aber den Kollegen von Bleeping Computer ist ein Hinweis <a href=\"https:\/\/reliaquest.com\/blog\/threat-spotlight-citrix-bleed-2-vulnerability-in-netscaler-adc-gateway-devices\/\" target=\"_blank\" rel=\"noopener\">Threat Spotlight: CVE-2025-5777: Citrix Bleed 2 Opens Old Wounds<\/a> der ReleaQuest-Sicherheitsforschern <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/citrix-bleed-2-flaw-now-believed-to-be-exploited-in-attacks\/\" target=\"_blank\" rel=\"noopener\">aufgefallen<\/a>.<\/p>\n<p>Die Sicherheitsforscher schreiben, dass Citrix ein Advisory f\u00fcr CVE-2025-5777 ver\u00f6ffentlicht habe, das NetScaler ADC- und Gateway-Ger\u00e4te betrifft. Die Schwachstelle erm\u00f6glicht Angreifern, Benutzersitzungen zu kapern und die Authentifizierung zu umgehen.<\/p>\n<p>Obwohl es keine \u00f6ffentlichen Berichte \u00fcber die Ausnutzung dieser Schwachstelle gibt, hat ReliaQuest die nachfolgenden Versuche zur Ausnutzung dieser Schwachstelle, um einen ersten Zugang zu erhalten, beobachtet.<\/p>\n<ul>\n<li>Gekaperte Citrix-Websitzung vom NetScaler-Ger\u00e4t. Die Authentifizierung wurde ohne Wissen des Benutzers gew\u00e4hrt, was auf eine Umgehung der MFA hindeutet.<\/li>\n<li>Wiederverwendung von Sitzungen \u00fcber mehrere IPs, einschlie\u00dflich Kombinationen aus erwarteten und verd\u00e4chtigen IPs.<\/li>\n<li>LDAP-Abfragen im Zusammenhang mit Aktivit\u00e4ten zur Active Directory-Auskundschaftung.<\/li>\n<li>Mehrere Instanzen des Tools <em>ADExplorer64.exe<\/em>\u00a0in der gesamten Umgebung, die Gruppen und Berechtigungen auf Dom\u00e4nenebene abfragen und Verbindungen zu mehreren Dom\u00e4nencontrollern herstellen.<\/li>\n<li>Citrix-Sitzungen, die von IP-Adressen stammen, die in Rechenzentren gehostet werden (z.B. Verwendung von VPN-Diensten).<\/li>\n<\/ul>\n<p>Administratoren sollten die Citrix-Firmware auf die Versionen 14.1-43.56+, 13.1-58.32+ oder 13.1-FIPS\/NDcPP 13.1-37.235+ aktualisieren, um die Schwachstelle zu beseitigen. Im Anschluss an die\u00a0Installation der neuesten Firmware sollten Administratoren alle aktiven ICA- und PCoIP-Sitzungen beenden, da diese m\u00f6glicherweise bereits gekapert wurden.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Die Tage hatte ich \u00fcber gravierende Schwachstellen in Citrix NetScaler ADC und das NetScaler Gateway berichtet, die zeitnah gepatcht werden sollten. Zum 23. Juni 2025 wurde die Beschreibung der Sicherheitsl\u00fccke CVE-2025\u20135777 (CVSS 9.3) ge\u00e4ndert, diese ist noch kritischer als gedacht. &hellip; <a href=\"https:\/\/borncity.com\/blog\/2025\/06\/30\/citrix-bleed-teil-2-wird-schwachstelle-cve-2025-5777-bereits-ausgenutzt\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[731,426,7459,185],"tags":[7843,4328],"class_list":["post-313084","post","type-post","status-publish","format-standard","hentry","category-gerate","category-sicherheit","category-software","category-update","tag-citrix","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/313084","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=313084"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/313084\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=313084"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=313084"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=313084"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}